Umeå universitets logga

umu.sePublikationer
Ändra sökning
RefereraExporteraLänk till posten
Permanent länk

Direktlänk
Referera
Referensformat
  • apa
  • ieee
  • vancouver
  • Annat format
Fler format
Språk
  • de-DE
  • en-GB
  • en-US
  • fi-FI
  • nn-NO
  • nn-NB
  • sv-SE
  • Annat språk
Fler språk
Utmatningsformat
  • html
  • text
  • asciidoc
  • rtf
GadgetBuilder: an overhaul of the greatest Java deserialization exploitation tool
Umeå universitet, Teknisk-naturvetenskapliga fakulteten, Institutionen för datavetenskap.ORCID-id: 0009-0004-2456-895X
Umeå universitet, Teknisk-naturvetenskapliga fakulteten, Institutionen för datavetenskap.ORCID-id: 0000-0002-7679-0796
Umeå universitet, Teknisk-naturvetenskapliga fakulteten, Institutionen för datavetenskap.ORCID-id: 0009-0003-6401-4364
Umeå universitet, Teknisk-naturvetenskapliga fakulteten, Institutionen för datavetenskap.ORCID-id: 0000-0001-7486-0538
Visa övriga samt affilieringar
2026 (Engelska)Ingår i: Secure IT systems: 30th Nordic conference, NordSec 2025, Tartu, Estonia, November 12-13, 2025, proceedings / [ed] Raimundas Matulevičius; Liina Kamm; Mubashar Iqbal, Cham: Springer, 2026, s. 184-203Konferensbidrag, Publicerat paper (Refereegranskat)
Abstract [en]

The Serializable API remains one of the most significant liabilities to Java application security. In particular, it brings a substantial share of vulnerabilities related to insecure deserialization entry points and gadget chains to exploit them. The latter can be attributed in large part to the gadget chain payload generator Ysoserial. With its undeniable value for penetration testing and research, it is regrettable that this tool received its last update in 2021. Not only does Ysoserial lack recent gadget chains, but its rigid architecture makes it hard to reuse or adapt gadgets. Such modifications are, however, crucial to bypass security measures in current Java versions. In this work, we overcome these deficiencies by designing the new payload generator GadgetBuilder. Our tool combines 31 main gadget chains in Ysoserial with 29 chains from other sources. It splits up the gadget chain construction into three gadget chain fragments. This abstraction increases the effective number of gadget chains to 303. Further, by using recent gadgets, 17 of the Ysoserial gadget chains become viable again for recent Java versions (16 and above). It also increases the attack surface against Java deserialization filters. Thereby, our work facilitates a much-needed update to Ysoserial that provides security researchers with a comprehensive overview of deserialization gadget chains.

Ort, förlag, år, upplaga, sidor
Cham: Springer, 2026. s. 184-203
Serie
Lecture Notes in Computer Science, ISSN 0302-9743, E-ISSN 1611-3349 ; 16325
Nyckelord [en]
Java, Insecure Deserialization, Gadget Chain, Ysoserial
Nationell ämneskategori
Säkerhet, integritet och kryptologi
Identifikatorer
URN: urn:nbn:se:umu:diva-252323DOI: 10.1007/978-3-032-14782-0_11Scopus ID: 2-s2.0-105036744576ISBN: 978-3-032-14781-3 (tryckt)OAI: oai:DiVA.org:umu-252323DiVA, id: diva2:2054765
Konferens
NordSec 2025, The 30th Nordic Conference on Secure IT Systems, Tartu, Estonia, November 12-13, 2025
Forskningsfinansiär
Wallenberg AI, Autonomous Systems and Software Program (WASP)Tillgänglig från: 2026-04-21 Skapad: 2026-04-21 Senast uppdaterad: 2026-05-22Bibliografiskt granskad

Open Access i DiVA

Publikationen är tillgänglig i fulltext från 2027-04-01 07:17
Tillgänglig från 2027-04-01 07:17

Övriga länkar

Förlagets fulltextScopus

Person

Kreyssig, BrunoHouy, SabineZhang, HantangRiom, TimothéeBartel, Alexandre

Sök vidare i DiVA

Av författaren/redaktören
Kreyssig, BrunoHouy, SabineZhang, HantangRiom, TimothéeBartel, Alexandre
Av organisationen
Institutionen för datavetenskap
Säkerhet, integritet och kryptologi

Sök vidare utanför DiVA

GoogleGoogle Scholar

doi
isbn
urn-nbn

Altmetricpoäng

doi
isbn
urn-nbn
Totalt: 40 träffar
RefereraExporteraLänk till posten
Permanent länk

Direktlänk
Referera
Referensformat
  • apa
  • ieee
  • vancouver
  • Annat format
Fler format
Språk
  • de-DE
  • en-GB
  • en-US
  • fi-FI
  • nn-NO
  • nn-NB
  • sv-SE
  • Annat språk
Fler språk
Utmatningsformat
  • html
  • text
  • asciidoc
  • rtf